Bundesministerium der Justiz und für Verbraucherschutz (nur per Berlin. Hamburg, 4.

Transkript

1 figo GmbH Gaußstraße 190c Hamburg Bundesministerium der Justiz und für Verbraucherschutz (nur per Berlin Hamburg, 4. Januar 2017 Stellungnahme der figo GmbH zur Umsetzung des zivilrechtlichen Teils der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2016 über Zahlungsdienste im Binnenmarkt - Zweite Zahlungsdiensterichtlinie Sehr geehrte Frau Schewior, im Folgenden übersenden wir Ihnen unsere Stellungnahme zur Umsetzung des zivilrechtlichen Teils der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2016 über Zahlungsdienste im Binnenmarkt. Wir bedanken uns für die Möglichkeit der Kommentierung. Allerdings bitten wir auch um Entschuldigung, sollte in Anbetracht der herausfordernden Stellungnahmefrist in Verbindung mit der parallelen Konsultation zum aufsichtsrechtlichen Teil der Umsetzung der ein oder andere Hinweis gegebenenfalls noch nicht abschließend nachvollziehbar sein. Bei etwaigen Rückfragen oder Wünschen zu weitergehenden Informationen stehen wir aber gern zur Verfügung: Kontakt: Cornelia Schwertner (Head of Regulation) cs@figo.io Telefon: Wir wünschen Ihnen viel Erfolg bei der nächsten Schritten. Freundliche Grüße Das Team der figo GmbH figo GmbH Gaußstraße 190 c Hamburg Tel contact@figo.io Amtsgericht Hamburg HRB USt-IdNr.: DE Geschäftsführung: André M. Bajorat Heiko Rahlfs GLS Bank IBAN: DE BIC: GENODEM1GLS

2 Stellungnahme der figo GmbH zur Umsetzung des zivilrechtlichen Teils der zweite Zahlungsdiensterichtlinie (im Folgenden: PSD2) Beschreibung der Geschäftsmodelle von Zahlungsauslöse- und Kontoinformationsdienstleistern Im Rahmen der Begründung zum Referentenentwurf eines Gesetzes zur Umsetzung des zivilrechtlichen Teils der PSD2 werden unter A II. 1 die Geschäftsmodelle und somit die notwendigen Regelungen im Rahmen des Umsetzungsgesetzes dargestellt. Wir möchten die Gelegenheit zur Stellungnahme nutzen, um hins. der dort beschriebenen Geschäftsmodelle darauf aufmerksam zu machen, dass die Marktentwicklung die ursprüngliche Zielsetzung der PSD2 bereits in Teilen überholt hat und somit der Blick auf notwendige zivilrechtliche Regelungen möglicherweise unvollständig sein könnte. Wir beschreiben die figo GmBH als Baking Service Provider. Wir bieten B2B-Services an, die mit dem Zugriff auf Zahlungskonten - durch Dritte im Sinne der PSD2 und darüber hinaus - einhergehen. Für die Zwecke dieser Stellungnahme konzentrieren wir unsere weiteren Ausführungen auf den Anwendungsbereich der PSD2. Im Hinblick darauf plant figo ein reguliertes Zahlungsinstitut, d.h. ein lizenzierter Zahlungsauslösedienstleister sowie ein registrierter Kontoinformationsdienstleister zu werden und den damit verbundenen EU-Pass zu erlangen. Die von uns nach Umsetzung der PSD2 angestrebten Services, werden nachfolgend anhand der möglichen Vertragsmodelle beschrieben. A II. 1 a) Zahlungsauslösedienstleister-Geschäftsmodell Die Begründung bzw. der Referentenentwurf richtet sich derzeit an der folgenden Beschreibung aus: Zahlungsauslösedienstleister erleichtern Zahlungen im elektronischen Geschäftsverkehr: Sie ermöglichen es dem Zahlungsempfänger, einen Zahlungsvorgang bei seinem kontoführenden Zahlungsdienstleister auszulösen. Das geschieht, indem der Zahlungsauslösedienstleister den Zahlungsauftrag an den kontoführenden Zahlungsdienstleister übermittelt. Sobald der Zahlungsvorgang auf diese Weise ausgelöst wurde, kann der Zahlungsauslösedienstleister den Zahlungsempfänger davon unterrichten und ihn so veranlassen, unverzüglich die Ware zu versenden oder die Dienstleistung zu erbringen. Durch die Einschaltung eines Zahlungsauslösedienstleisters erhalten Händler früher Gewissheit, dass die Zahlung ausgelöst wurde. Den Innovationscharakter der PSD2 anerkennend, plant die figo GmbH als lizensierter Zahlungsauslösedienstleister wie folgt tätig zu sein: Die figo GmbH plant als lizenzierter Zahlungsauslösedienstleister Vertragsbeziehungen zu

3 a. PSD2-unregulierten Unternehmen, die als Zahlungsempfänger auftreten (kostenpflichtiger B2B-Service, z.b. für E-Commerce oder Factoring Unternehmen) ODER b. PSD2-unregulierten Unternehmen, die als Payment Feature Provider auftreten (kostenpflichtiger B2B-Service für Unternehmen, die den Zahlungsauslösedienst ausschließlich als nutzerfreundliche Funktion ihrer eigentlichen Produktpalette nutzen, wie z.b. Fotoüberweisung oder Buchhaltungsmanagement Anwendungen) UND jeweils c. den Zahlungsdienstnutzern (= kostenfreie Nutzungsvereinbarung mit Zahlern) zu unterhalten. Vorausgesetzt, dass die sensiblen Zahlungsdaten nicht an PSD2-unregulierte Dritte weitergegeben werden sowie dass die Daten von der figo GmbH ausschließlich zur Erbringung des Zahlungsauslösedienstes und nicht für andere Zwecke genutzt werden. A II. 1 b) Kontoinformationsdienstleister-Geschäftsmodell Die Begründung bzw. der Referentenentwurf richtet sich derzeit an der folgenden Beschreibung aus: Kontoinformationsdienstleiser eröffnen dem Zahlungsdienstnutzer die Möglichkeit, sich z.b. über eine App- bzw. Computer-Anwendung einen Gesamtüberblick über seine finanzielle Situation zu verschaffen. Zu diesem Zweck fassen sie Informationen zu einem oder mehreren Zahlungskonten bei einem oder mehreren Zahlungsdienstleistern zusammen, die über Online-Schnittstellen der kontoführenden Zahlungsdienstleister zugänglich sind. Den Innovationscharakter der PSD2 anerkennend, plant die figo GmbH als registrierter Kontoinformationsdienstleister wie folgt tätig zu sein: Die figo GmbH plant als registrierter Kontoinformationsdienstleister Vertragsbeziehungen zu d. PSD2-unregulierten Data Benefit Providern (kostenpflichtiger B2B-Service), die die Kontoinformationsdienst-Daten ausschließlich für benutzerfreundliche Funktionen ihrer eigentlichen Produktpalette nutzen, z.b. Kontowechselservices, Kontoalarmund Monitoringdienste, Vergleichsportale oder Kreditportale (letzere zu Risikomanagement oder Bonitätsprüfungszwecken) und e. den Zahlungsdienstnutzern (kostenfreie Nutzunungsvereinbarung mit KID-Endnutzern). zu unterhalten, vorausgesetzt, dass die sensiblen Zahlungsdaten nicht an PSD2-unregulierte Dritte weitergegeben werden sowie dass andere Daten nur mit ausdrücklicher Zustimmung des KID-Endnutzers und unter Beachtung aller relevanten Datenschutzbestimmungen an einen Data Benefit Provider weitergegeben werden.

4 Uns ist bewusst, dass die dargestellten B2B-Services im Rahmen der Finalisierung der PSD2 nicht vollumfassend bedacht wurden. Folglich wurden kürzlich noch strenge Interpretationen der PSD2 vertreten, die dem entgegenstehen könnten. Beispielsweise, dass Art. 67 Abs. 2 (f) der PSD2 ein ähnlich striktes Verbot der Weiterverarbeitung von Daten durch Kontoinformationsdienstleister impliziert, wie es Art. 66 Abs. 3 (g) für Zahlungsauslösedienstleister bestimmt. Die aktuellen, fortgeschrittenen Marktentwicklungen zeigen jedoch einen dringenden Bedarf für das von der figo GmbH vorgeschlagene Gesamtkonzept. Bereits etablierte Innovationen und erfolgreiche Anwendungsfälle würden umfassend behindert, wenn diese B2B-Optionen nicht rechtssicher umgesetzt würden. Aus unserer Sicht sind insbesondere kontextbezogene Anwendungsfälle des Kontoinformationsdienstes große Treiber der von der PSD2 beabsichtigten Innovationsförderung. Kontoinformationsdienst-Nutzer sind vor allem im Kontext bereit, ihre Zugangs- und Kontodaten bei Dritten einzusetzen, z.b. wenn dadurch automatisierte Kundenprozesse ermöglicht oder beschleunigt werden. Das Gesetz bzw. die Aufsicht muss auf zweiter Ebene anknüpfen, d.h. den vom Kunden gewünschten Prozess sicher zu gestalten, statt die Verbraucherfreiheit einzuschränken. Eine strikte Untersagung der Weiterverwertung durch den Kontoinformationsdienstleister würde den durch die PSD2 explizit angestrebten Innovationsprozess nur unglücklich hemmen aber mittelfristig nicht aufhalten. Wenn man dementsprechend annimmt, dass es Data Benefit Providern erlaubt sein wird, ihre Angebote inkl. integrierter Kontoinformationsdienst-Features anzubieten, muss eine andere PSD2-Regelungslücke gefüllt werden. Mit ihrem Geschäftsmodell und ihrer Strategie wird die Mehrheit der Data Benefit Provider, bei denen Kontoinformationsdienste nur einen kleinen Teil der Produktpalette ausmachen, nicht darauf abzielen ein registrierter Kontoinformationsdienstleister zu werden, oder als Zahlungsinstitut behandelt zu werden. Deshalb nutzen solche Data Benefit Provider bereits heute Marktteilnehmer wie die figo GmbH, um auf die Finanzquellen ihrer B2C-Kunden zuzugreifen. Mit Blick in die Zukunft und basierend auf unseren umfassenden Erfahrungen mit unseren Partnern können wir davon ausgehen, dass sich Data Benefit Provider eine PSD2-konforme Serviceunterstützung durch einen regulierten Kontoinformationsdienstleister wünschen. Idealerweise sollte Letzterer auch die Auslagerung der für den Kontoinformationsdienst notwendigen IT-Infrastruktur ermöglichen. Anbieter wie diese würden künftig eher auf erfolgreiche, kundenfreundliche Lösungen verzichten, als eine eigene Kontoinformationsdienst-Registrierung zu beantragen. Dies rührt daher, dass eine solche - aus der Markt-Perspektive - ähnlich hohe Standards und Aufwände mit sich bringt, wie der Weg zum voll lizenzierten Zahlungsinstitut. Ähnliche Bedingungen bestehen für das Vertragsmodell mit der figo GmbH als lizensierter Zahlungsauslösedienstleister und Payment Feature Providern, welche sich ebenfalls darauf verlassen einen Zahlungsauslösedienstleister dafür nutzen zu können, ihre eigentliche Produktpalette mit nutzerfreundlichen Features aufwerten zu können, wie beispielsweise der Fotoüberweisung oder im Rahmen von Buchhaltungsmanagement Anwendungen, ohne dabei eine eigene Lizenz als Zahlungsauslösedienst beantragen zu müssen.

5 Bündelnde Zahlungsauslösedienstleister bzw. bündelnde Kontoinformationsdienstleister stellen aus unserer Sicht eine Win-Win-Situation für den Gesamtmark inkl. des Verbrauchers dar. Denn eine rechtssichere Implementierung der dargestellten Vertragsmodelloptionen führt zu einem gesteigerten Verbraucher- und Datenschutz, sowie zu einer höheren IT-Sicherheit; und zwar durch: - vorgelagerte (und wir schlagen vor: regulatorisch vorgeschriebene) Know Your Third Party -Prozesse, inkl. der risikoorientierten & skalierten Weitergabe der PSD2-Anforderungen an Data Benefit Provider sowie Payment Feature Provider, - optimierte und transparente Kommunikationsprozesse zwischen Zahlungsauslösedienstleister/Kontoinformationsdienstleister und kontoführenden Zahlungsdienstleistern (unter Berücksichtigung einer sauberen und technischen Trennung zwischen Zahlungsauslösedienstleister (ZADL) - und Kontoinformationsdienstleister (KIDL) -Prozessen), - die Umsetzung zentral durchsetzbarer sowie effektiv kontrollierbarer Standards aus Sicht der EU-weiten und nationalen Aufsichtsbehörden sowie - die Etablierung qualitativ hochwertiger API-Infrastruktur-Standards. Die folgende Illustration stellt unser Verständnis der Rolle der figo GmbH in einem post-psd2 Europa dar. Links haben wir unsere Bedenken hinsichtlich einer PSD2 Infrastruktur ohne Banking Service Provider (BSP) zum Ausdruck gebracht. Die rechte Seite stellt eine post-psd2 Welt inklusive der Mehrwerte durch BSP wie der figo GmbH dar. In den vergangenen Monaten haben wir unsere Möglichkeiten vielfältig genutzt, um klarzumachen, dass eine ausdrückliche Ausnahme von der Registrierungspflicht für Data Benefit Provider sowie Payment Feature Providern nötig ist - unter der Bedingung, dass

6 diese Marktteilnehmer registrierte Kontoinformationsdienstleister bzw. lizensierte Zahlungsauslösedienstleister beauftragen. Bestenfalls kann eine EU-weit einheitliche Klarstellung erreicht werden, indem die EBA sich hierzu im Rahmen ihres Mandates hinsichtlich der Antragsprozesse gemäß Art. 5 Abs. 5 PSD2 zur Zulassung von Zahlungsinstituten offiziell äußert. Wir haben diese Anregungen entsprechend auch im Rahmen der parallelen Konsultation zum aufsichtsrechtlichen Teil der Umsetzung der PSD2 an das Bundesministerium der Finanzen gegeben. Wollten aufgrund der etwaigen Auswirkungen auf zivilrechtliche Aspekte unseren Input allerdings auch direkt mit dem BMJV teilen. Haftung bei unrechtmäßiger Verweigerung des Zugangs zu Zahlungskontodiensten Wir begrüßen, dass der Referentenentwurf eines Gesetzes zur Umsetzung des zivilrechtlichen Teils der PSD2 im Rahmen seiner Begründung explizit vorsieht, dass Abreden, die dem Zahlungsdienstnutzer die Weitergabe seiner personalisierten Sicherheitsmerkmale an Dritte untersagen, soweit diese Abreden auch den Fall erfassen, dass ein Zahlungsauslöse- oder Kontoinformationsdienstleister zur Erbringung seines Dienstes auf das Konto zugreift, unwirksam sind. Im Rahmen der Konsultation zur Umsetzung des aufsichtsrechtlichen Teils der PSD2 haben wir parallel angemerkt, dass nicht nachvollziehbar sei, warum der Katalog der Bußgeldvorschriften in 66 Abs. 2 ZAG-RefE zwar neue Bußgeldtatbestände enthält, aber keinen für die Fälle vorsieht, in denen ein CRR-Kreditinstitut Instituten entgegen des 57 ZAG-RefE die Möglichkeit des Zugangs zu Zahlungskontodiensten auf nicht-objektiver, diskriminierender oder unverhältnismäßiger Grundlage verweigert. Der aktuelle Entwurf des 675k BGB-RefE (Gesetz zur Umsetzung des zivilrechtlichen Teils der PSD2) sieht bisher ebenfalls lediglich eine Informationspflicht an den Zahlungdienstnutzer im Fall der Verweigerung vor. Für die aufsichtsrechtliche Durchsetzbarkeit des 57 ZAG-RefE, welchem eine erhebliche Bedeutung im Rahmen eines funktionierenden post-psd2-marktes zukommt, empfahlen wir daher dem Bundesministerium der Finanzen dringend die Ergänzung eines entsprechenden Bußgeldtatbestandes in 66 Abs. 2 ZAG-RefE. Zum anderen regen wir hiermit gegenüber dem BMJV zusätzlich auch die Erwägung zivilrechter Haftungsregeln gegenüber dem Zahlungsdienstnutzer für die Fälle an, in denen ein CRR-Kreditinstitut den Drittdiensten entgegen der 57 ZAG-RefE und Art. 36 PSD2 die Möglichkeit des Zugangs zu Zahlungskontodiensten auf nicht-objektiver, diskriminierender oder unverhältnismäßiger Grundlage verweigert.